Angriberen påstod, at de havde fået adgang til kildekode og proprietære komponenter, som anvendes af det velkendte analysefirma. En tidlig analyse tyder dog på, at filerne kan stamme fra gamle sikkerhedskopier snarere end fra et nyt indbrud. Denne forskel har ændret risikovurderingen og rejst nye spørgsmål om, hvor troværdig påstanden egentlig er.
Hvad trusselsaktøren hævdede
Trusselsaktøren offentliggjorde et opslag, hvor de hævdede at have brudt ind hos SAS Institute og hentet interne koderepositorier. De påstod at have fået adgang til komponenter fra virksomhedens Business Rules Manager og andre softwareværktøjer. Udtalelsen antydede omfattende intern adgang og hævdede, at yderligere materiale stadig var i deres besiddelse.
Gruppen forsøgte at fremstille hændelsen som et alvorligt indbrud, der havde eksponeret følsomme udviklingsaktiver. Opslaget indeholdt imidlertid ingen beviser på nylig systemadgang, hvilket skabte tvivl allerede inden forskerne analyserede filerne.
Hvad forskerne fandt i filerne
Forskere undersøgte en samling filer, som angriberen fremlagde som bevis. Tidsstemplerne viste datoer fra starten af 2000’erne til begyndelsen af 2010’erne. Disse tidsangivelser tyder på, at materialet kan stamme fra arkiveret lagring frem for aktive systemer.
Udviklingsteams anvender sjældent så gamle versioner af aktive værktøjer. Denne tidsmæssige uoverensstemmelse mindskede sandsynligheden for, at angriberen havde kompromitteret moderne miljøer. Filernes alder antyder, at de kan være hentet fra ældre sikkerhedskopier, gamle repositories eller længe ubrugte udviklingsmapper.
Vurdering af den reelle risiko
Påstanden om databrud hos SAS Institute er fortsat relevant, da enhver lækage af kildekode indebærer sikkerhedsrisiko. Ældre kode kan afsløre arkitektur, logik eller implementeringer, som angribere kan studere. Selv legacy-komponenter kan hjælpe trusselsaktører med at forstå, hvordan tidligere systemer fungerede.
Hvis materialet ikke stammer fra aktive miljøer, reduceres den umiddelbare risiko dog betydeligt. Moderne systemer anvender opdaterede kodebaser og nyere rammeværk. Filernes alder begrænser angrebsfladen, selvom den ikke fjerner risikoen helt.
Virksomhedens position og igangværende gennemgang
SAS Institute har gennemgået de offentlige påstande, men har ikke bekræftet et indbrud. Virksomheden fortsætter med at analysere logfiler og undersøge, om der har været usædvanlig aktivitet. Organisationen vurderer også, om filerne kan stamme fra et internt arkiv eller en ekstern kilde.
Efterforskere anbefaler at gennemgå ældre lagersystemer, backupservere og udviklingsmiljøer, der kan indeholde legacy-materiale. De anbefaler også at forbedre adgangskontrollen til gamle repositories, som kan indeholde forældet men stadig følsomt materiale.
Hvorfor denne påstand betyder noget
Større softwareleverandører opbevarer store mængder proprietær kode og udviklingsaktiver. Påstande om brud hos sådanne virksomheder kan skabe bekymring i brancher, der er afhængige af deres værktøjer. Selv påstande, der senere viser sig overdrevne, understreger vigtigheden af stærke beskyttelser af sikkerhedskopier, overvågning af repositories og sikre arkiveringsrutiner.
Konklusion
Påstanden om et databrud hos SAS Institute fremstår mindre troværdig efter forskernes gennemgang af de lækkede filer. Filerne tyder på, at materialet sandsynligvis stammer fra ældre sikkerhedskopier og ikke fra et nyt indbrud. Selvom ældre kode stadig kan afsløre oplysninger, som angribere kan udnytte, reducerer det sandsynlige ophav den umiddelbare risiko. Sagen understreger nødvendigheden af grundige undersøgelser af alle brudspåstande og beskyttelse af både aktiv og arkiveret kode.
0 svar til “Stigende tvivl om påstået databrud hos SAS Institute”